Práticas recomendadas de segurança do GKE

Neste documento, descrevemos uma arquitetura típica do Google Kubernetes Engine (GKE) em Google Cloud. Também listamos as práticas recomendadas de segurança aplicáveis a cargas de trabalho do GKE.

Arquitetura

O diagrama a seguir mostra os serviços Google Cloud em uma implantação típica do GKE.

Arquitetura de exemplo para cargas de trabalho do GKE.

O diagrama inclui os seguintes pontos:

  • O GKE é uma implementação gerenciada da plataforma de orquestração de contêineres de código aberto do Kubernetes que permite executar apps conteinerizados. Os clusters do GKE incluem os pods de aplicativos e o Controlador de Políticas. O Controlador de Políticas ajuda a aplicar políticas nos clusters do Kubernetes.

  • O Artifact Registry simplifica o processo de desenvolvimento e implantação de contêineres e apps, melhora a colaboração e ajuda a aumentar a segurança e a confiabilidade dos seus apps.

  • Os registros de auditoria do Cloud monitoram as ações dos usuários no seu ambiente, o que melhora suas capacidades de solução de problemas, auditoria e resposta a incidentes.

  • Com os painéis e alertas do Cloud Billing, é possível analisar o uso e o faturamento das cargas de trabalho do GKE.

  • Com o Cloud Build, é possível criar, testar e implantar uma plataforma de CI/CD sem servidor no Google Cloud.

  • O Cloud Identity unifica identidade, acesso, aplicativos e gerenciamento para Google Cloud.

  • O Cloud Key Management Service cria e gerencia chaves de criptografia.

  • As funções do Cloud Run automatizam tarefas, acionam jobs, se integram a outros serviços e criam pipelines de desenvolvimento orientados por eventos.

  • O Cloud Service Mesh permite que os serviços do Kubernetes se comuniquem entre si.

  • O Cloud Storage armazena os dados necessários para executar seus contêineres e apps.

  • O Cloud DNS registra, gerencia e veicula seu domínio.

  • O Identity and Access Management (IAM) controla quem pode realizar ações específicas nos recursos da carga de trabalho do GKE, como criar, editar ou excluir.

  • O serviço de políticas da organização gerencia e aplica políticas de maneira centralizada em todo o ambiente do Google Cloud. A Política da organização ajuda a garantir a conformidade consistente de configuração e segurança em todos os projetos e recursos da sua organização.

  • O Pub/Sub permite uma comunicação eficiente e a automação nos seus fluxos de trabalho.

  • O Resource Manager ajuda você a agrupar e gerenciar os componentes lógicos das cargas de trabalho do GKE.

  • O Secret Manager ajuda a proteger os dados sensíveis e as credenciais usadas em projetos do GKE.

  • O Security Command Center ajuda a proteger sua organização na nuvem, suas cargas de trabalho do GKE e os dados armazenados no Google Cloud. O Security Command Center oferece o seguinte:

    • Gerenciamento de segurança centralizado
    • Detecção de ameaças e resposta a incidentes
    • Avaliações de segurança automatizadas
    • Conformidade e relatórios regulamentares
    • Recomendações e práticas recomendadas de segurança

  • A nuvem privada virtual (VPC) isola seus recursos do GKE da Internet em um ambiente seguro. Essa configuração de rede ajuda a proteger dados e cargas de trabalho sensíveis contra acesso não autorizado e possíveis ataques cibernéticos.

  • Com o Cloud VPN ou o Cloud Interconnect, é possível estabelecer uma conexão de rede segura entre sua infraestrutura local e o ambiente do GKE. O Cloud VPN ou o Cloud Interconnect ajudam a permitir a transferência de dados e a comunicação sem problemas entre sua rede particular e os recursos do Google Cloud. Considere essa integração para cenários como acesso a dados locais para treinamento de modelo ou implantação de modelos em recursos locais para inferência.

Práticas recomendadas para cargas de trabalho do GKE

Nesta seção, você encontra links para as práticas recomendadas de cargas de trabalho que usam o GKE.

A seguir